帮忙测试一下主防（更新2：俺就觉得过SSF一个不正常嘛，抓了一个垫背的，过毛豆）

墨家小子

coco_mail 发表于 2015-12-7 11:53
只是简单测试而已, 其他行为忽略

我是说样本执行explorer之后的动作有没有了？

电脑发烧友

疯狂注入，大部分进程都被注入了，注入之后干什么没看。

lixihong10

执行的32位explorer，没有提示内存修改。COMODO过了。

回头自己写一个测试看看。

墨家小子

lixihong10 发表于 2015-12-7 20:31
执行的32位explorer，没有提示内存修改。COMODO过了。

回头自己写一个测试看看。

亲啊 我等你的测试等了一天

终于看到毛豆被过了

lixihong10

墨家小子 发表于 2015-12-7 20:33
亲啊 我等你的测试等了一天

终于看到毛豆被过了

一开始是显示执行test.exe
然后又test.exe变成了explorer.exe
不造用了什么手段。看看能模拟出来不。

墨家小子

lixihong10 发表于 2015-12-7 20:40
一开始是显示执行test.exe
然后又test.exe变成了explorer.exe
不造用了什么手段。看看能模拟出来不。[: ...

你再好好测试一遍啊，把日志贴出来，还有截图

skyboybone

扫描并上传火眼
二扫入库


http://fireeye.ijinshan.com/anal ... fff&type=1#full

yzt1004

嘻嘻嘻，我们来看美丽的Emsisoft

因为BD引擎已经入库，所以关闭文件保护+云端信誉差自动删除








第二张图出现的时候，我看到process hacker 里面是病毒调用explorer.exe。

第二张图允许以后，Emsisoft 的进程a2guard.exe 退出，托盘图标消失。然后malwarebytes anti-exploit 忽然跳出来保护了firefox。此时hitman pro alert 啥也没说

以上测试，病毒在沙盘中运行，Emsisoft 自我保护是打开的。

墨家小子

yzt1004 发表于 2015-12-7 21:10
嘻嘻嘻，我们来看美丽的Emsisoft

因为BD引擎已经入库，所以关闭文件保护+云端信誉差自动删除

你把firefox卸载看看能不能拦住利用IE的
那个malwarebytes anti-exploit占用多少啊？贴个图呗

yzt1004

墨家小子 发表于 2015-12-7 21:19
你把firefox卸载看看能不能拦住利用IE的
那个malwarebytes anti-exploit占用多少啊？贴个图呗

卸载了我没浏览器回复你了



我这是免费版。话说真的是头一回看见它弹。